Rok 2026 to dla pracodawców i działów HR czas ogromnych wyzwań. Nowelizacje przepisów oznaczają rewolucję w uprawnieniach Państwowej Inspekcji Pracy (PIP), ale to nie wszystko. Równie groźne, a często bagatelizowane, są pułapki związane z ochroną danych osobowych (RODO). W tym artykule nie tylko podsumujemy zmiany w prawie pracy, ale przede wszystkim znacznie szerzej przyjrzymy się obowiązkom RODO w procesie rekrutacji i legalizacji cudzoziemców. Kary za błędy w tym obszarze mogą być równie dotkliwe, co mandaty od PIP!
Koniec nadużywania umów cywilnoprawnych: Kary i „amnestia” PIP
Ustawa z dnia 11 marca 2025 r. o warunkach dopuszczalności powierzenia pracy cudzoziemcom na terytorium Rzeczypospolitej Polskiej wprowadza przymusowe umowy o pracę między innymi w zatrudnieniu cudzoziemskim. Inspektorzy PIP otrzymali prawo do nakazywania przekształcenia umów cywilnoprawnych (np. zlecenia) na umowy o pracę w ramach dwuetapowej procedury. Drastycznie wzrosły również kary za wykroczenia przeciwko prawom pracownika – wynoszą one teraz od 2 000 zł do 60 000 zł, a w przypadku recydywy od 3 000 zł do 90 000 zł.
Ustawodawca przewidział jednak deskę ratunku, 12-miesięczną amnestię. Jest to okres przejściowy dla firm na dobrowolne doprowadzenie swoich umów do zgodności z nowym prawem. W tym czasie pracodawca może wystąpić do Głównego Inspektora Pracy (GIP) o wiążącą dla PIP interpretację indywidualną, której zastosowanie chroni firmę przed sankcjami.
W obliczu tych zmian rynek szuka luk, co kończy się ryzykownymi „optymalizacjami”, takimi jak nadużywanie zwolnień dla związków wyznaniowych („zatrudnianie na kościół”) czy masowe i fikcyjne zapisywanie cudzoziemców do szkół policealnych („na studenta”). Pamiętajmy: budowanie modelu biznesowego na omijaniu prawa to ogromne ryzyko.
RODO w zatrudnianiu cudzoziemców – dlaczego to takie trudne?
Do kandydatów i pracowników z zagranicy stosujemy te same zasady RODO, co do Polaków. Jednak proces legalizacji pracy wymusza na pracodawcach gromadzenie znacznie szerszego katalogu danych, tzw. danych pozakodeksowych. Zbieramy m.in.: obywatelstwo, nazwę, serię, numer i datę ważności dokumentu podróży, numer PESEL (lub płeć i datę urodzenia) oraz dane z wizy lub karty pobytu.
Z tego powodu działy HR muszą być podwójnie ostrożne. Oto najważniejsze obowiązki i 5 krytycznych pułapek RODO, w które wpadają firmy:
- Błędna podstawa prawna (Nie opieraj się na zgodzie!).
Wielu pracodawców błędnie uważa, że wystarczy poprosić cudzoziemca o zgodę na przetwarzanie kopii jego paszportu. Zgoda pracownika jest tu niewłaściwą podstawą prawną ze względu na wyraźną nierównowagę stron i brak dobrowolności w relacji pracodawca-pracownik.
Jak to robić dobrze? Należy opierać się na obowiązku prawnym ciążącym na administratorze (np. ustawa o warunkach dopuszczalności powierzania pracy cudzoziemcom), konieczności wykonania umowy lub prawnie uzasadnionym interesie. W przypadku żądania zaświadczenia o niekaralności – przetwarzanie to musi wynikać wprost z przepisów prawa krajowego, a nie ze zgody. - Niewidzialna dyskryminacja w ogłoszeniach.
Ogłoszenie o pracę nie może wykluczać ani preferować kandydatów ze względu na narodowość, rasę czy pochodzenie etniczne, chyba że firma udowodni, że jest to uzasadnione obiektywnymi powodami. PIP i sądy zalecają stosowanie tzw. testu porównawczego („Czy zostałbym zaproszony na rozmowę, gdybym nie był obywatelem Ukrainy?”). - Błędy w Klauzuli Informacyjnej.
Najpóźniejszym momentem na przekazanie klauzuli RODO jest otrzymanie CV kandydata. Co jednak ważne, przy legalizacji pracy cudzoziemców często mamy do czynienia z urzędami. Warto pamiętać, że w ramach postępowań administracyjnych (np. przed Urzędem do Spraw Cudzoziemców) dane nie podlegają usunięciu (brak prawa do bycia zapomnianym) ze względu na ważny interes publiczny i procedury archiwalne. Ponadto, dane cudzoziemców często mogą być przekazywane do państw trzecich, ale zazwyczaj dotyczy to wyłącznie krajów strefy Schengen, o czym należy informować. - Zbyt długie (lub zbyt krótkie) przechowywanie dokumentów
Należy rozróżnić dwa terminy:
– Rekrutacja: CV z aktywnej rekrutacji trzymamy max do 3 lat (obrona przed roszczeniami).
– Zatrudnienie: Przepisy legalizacyjne wymuszają na pracodawcy obowiązek przechowywania kopii dokumentów potwierdzających legalność pobytu przez cały okres zatrudnienia cudzoziemca, a następnie przez kolejne 2 lub nawet 10 lat (w zależności od rodzaju umowy). - Komunikatory (Telegram, Viber) a zasada minimalizacji.
Przechowywanie CV, zdjęć dokumentów tożsamości i wiz przez nieograniczony czas na otwartych komunikatorach całkowicie pozbawia pracodawcę kontroli nad danymi. Jest to rażące naruszenie zasady minimalizacji danych, ponieważ gromadzone są dane nadmiarowe w sposób niezabezpieczony. Wymogi RODO muszą być sprzężone z bezpiecznymi systemami IT.
Dodatkowe obowiązki pracodawcy: Oprócz powyższego, pracodawca zatrudniający cudzoziemców musi prowadzić Rejestr Czynności Przetwarzania (RCP) oraz rejestr naruszeń. W przypadku wycieku skanu paszportu cudzoziemca (np. z Telegrama), firma ma obowiązek natychmiastowego powiadomienia Urzędu Ochrony Danych Osobowych (UODO) oraz samej osoby poszkodowanej.
FAQ – Najczęściej zadawane pytania
Po wejściu w życie ustawy z 11 marca 2026 r. ograniczającej umowy cywilnoprawne, firmy otrzymują 12 miesięcy na ich dobrowolne przekształcenie w umowy o pracę, bez ryzyka natychmiastowych, surowych kar ze strony PIP. W tym czasie można wystąpić o ochronną interpretację do GIP.
Z reguły nie. Zarówno w urzędach (np. UDSC), jak i u pracodawcy, dane te są przetwarzane na podstawie obowiązku prawnego i ważnego interesu publicznego. Podlegają one obowiązkowej archiwizacji, co sprawia, że prawo do usunięcia danych w tym zakresie zazwyczaj nie przysługuje.
Kopie dokumentów potwierdzających legalność pobytu należy przechowywać przez cały okres zatrudnienia cudzoziemca, a następnie archiwizować przez co najmniej 2 lata (w niektórych umowach o pracę nawet do 10 lat).
Kontakt organizacyjny jest dozwolony, jednak przesyłanie i przechowywanie tam skanów paszportów czy CV bez jasnych procedur ich usuwania to poważne naruszenie RODO (zasady minimalizacji i bezpieczeństwa).
Nie. Danych o karalności nie można przetwarzać wyłącznie na podstawie zgody kandydata. Możliwość ich pozyskania musi wynikać wprost z przepisów prawa krajowego dla danego stanowiska (np. praca z dziećmi, sektor finansowy).
Źródła i podstawa prawna artykułu:
- Ustawa z dnia 20 marca 2025 r. o warunkach dopuszczalności powierzania pracy cudzoziemcom na terytorium Rzeczypospolitej Polskiej.
- Klauzula informacyjna dotycząca danych osobowych przetwarzanych w krajowym zbiorze rejestrów, ewidencji i wykazu w sprawach cudzoziemców.
